Kurzfassung

Mehrere Router von Netcore weisen sechs kritische Schwachstellen auf, darunter die CVEs CVE-2026-101000, CVE-2026-101001, CVE-2026-101072, CVE-2026-101075, CVE-2026-101076 und CVE-2026-101077. Alle Einträge sind mit CVSS 9.3, kritisch bewertet und laut NVD über das Netzwerk ohne Anmeldung und ohne Nutzerinteraktion angreifbar. Besonders brisant: Für alle sechs Schwachstellen ist eine öffentliche Offenlegung der Angriffsmethoden vermerkt.

Was ist passiert?

Betroffen sind mehrere Netcore-Routermodelle aus dem Small-Office- und Access-Umfeld. Die gemeldeten Schwachstellen betreffen sowohl fehlende Authentifizierungsprüfungen als auch direkte Betriebssystem-Befehlsausführung über Web- oder CGI-Schnittstellen.

Im Einzelnen geht es um Netcore NBR100V2 in Version 1.3.240614.030928, Netcore NBR200V2 in Version 1.3.241127.071246 sowie Netcore NR289-GE in Version 1.4.5102. Beim NR289-GE wurden gleich vier separate Schwachstellen veröffentlicht.

CVE-2026-101000 beschreibt eine fehlende Autorisierungsprüfung im ACL-Handling des NBR100V2. CVE-2026-101001 betrifft beim NBR200V2 eine Betriebssystem-Befehlsinjektion über die Web-Verwaltungsoberfläche. Die vier NR289-GE-Lücken CVE-2026-101072, CVE-2026-101075, CVE-2026-101076 und CVE-2026-101077 umfassen drei Fälle von Kommandoinjektion und einen Fall fehlender Authentifizierung.

Zu allen sechs Fällen ist vermerkt, dass der Hersteller vorab kontaktiert worden sei, jedoch keine Reaktion erfolgt sei. Ob inzwischen Updates oder Gegenmaßnahmen direkt von Netcore bereitstehen, ist in den verlinkten NVD-Einträgen nicht dokumentiert.

Technische Details

Alle sechs Schwachstellen tragen denselben Basiswert: CVSS 9.3 nach CVSS 4.0. Dieser Wert beschreibt die technische Schwere, nicht automatisch die tatsächliche Ausnutzung in realen Umgebungen. Der Vektor zeigt aber klar, warum die Lage ernst ist: Angriffe sind über das Netzwerk möglich, die Angriffskomplexität ist gering, es werden keine Berechtigungen benötigt und keine Nutzerinteraktion ist erforderlich.

Bei CVE-2026-101000 liegt das Problem im ACL-Handler des Netcore NBR100V2, konkret in der Funktion uci.apply innerhalb von /usr/share/rpcd/acl.d/unauthenticated.json. Die Schwachstelle führt zu fehlender Autorisierung. Ein entfernter Angreifer könnte damit Funktionen erreichen, die ohne korrekte Zugriffskontrolle nicht offen sein dürften.

CVE-2026-101001 im Netcore NBR200V2 betrifft die Funktion eval in /www/cgi-bin/network_tools der Web-Management-Oberfläche. Manipulierbare Eingaben über QUERY_STRING führen hier zu einer Betriebssystem-Befehlsinjektion. Das ist besonders kritisch, weil damit auf Routerebene direkter Code oder Shell-Befehlskontext erreichbar sein kann.

Beim Netcore NR289-GE 1.4.5102 wurden vier weitere kritische Schwachstellen gemeldet. CVE-2026-101072 betrifft /ap_ip.cgi und den Parameter ip, CVE-2026-101075 betrifft /location_time.cgi und den Parameter mac, CVE-2026-101076 betrifft /set_ntp_server_ip.cgi und den Parameter ntp_ip. In allen drei Fällen führt die Eingabemanipulation laut NVD zu Betriebssystem-Befehlsinjektion.

CVE-2026-101077 weicht technisch etwas ab: Hier wird im boa_temp-Handler über die Funktion process_request eine fehlende Authentifizierung beschrieben. Solche Fehler sind oft besonders gefährlich, weil sie vorgeschaltete Schutzmechanismen aushebeln und weitere Angriffe erst ermöglichen.

Wer ist betroffen?

Unmittelbar betroffen sind Organisationen, die eines der folgenden Modelle einsetzen:

  • Netcore NBR100V2 in Version 1.3.240614.030928
  • Netcore NBR200V2 in Version 1.3.241127.071246
  • Netcore NR289-GE in Version 1.4.5102

Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn solche Geräte noch als Außenstellen-Router, Access-Router, in Filialen, in kleineren Produktionsnetzen oder als preisgünstige Netzkomponenten in Verwaltungsnetzen laufen. Gerade in kleineren Umgebungen bleiben solche Geräte oft lange unbeachtet, obwohl sie direkt aus dem Internet erreichbar sind oder intern weitreichende Rechte im Netz besitzen.

Für die breite Masse der Leser ist das kein flächendeckendes Standardproblem wie bei großen Enterprise-Herstellern. Wer die genannten Netcore-Modelle nicht einsetzt, ist von diesen konkreten CVEs nicht betroffen. Wer sie aber betreibt, sollte die Lage hoch priorisieren.

Empfohlene Maßnahmen

  1. Bestandsaufnahme sofort durchführen: Prüfen Sie aktiv, ob NBR100V2, NBR200V2 oder NR289-GE in den genannten Versionen im Einsatz sind. Berücksichtigen Sie auch Außenstellen, Testnetze, Reservehardware und Geräte bei Dienstleistern.
  2. Internet-Erreichbarkeit beenden: Falls die Web-Verwaltung oder CGI-Endpunkte von außen erreichbar sind, sollten Sie den Zugriff sofort unterbinden. Deaktivieren Sie Fernverwaltung über das Internet oder beschränken Sie sie strikt per VPN und Zugriffslisten.
  3. Management-Zugänge segmentieren: Legen Sie die Administrationsoberflächen in ein separates Management-Netz. Zugriff sollten nur definierte Administrationssysteme erhalten, nicht beliebige Clients im LAN.
  4. Nach Kompromittierung suchen: Da öffentliche Ausnutzungsinformationen vorliegen, sollten Sie Logdaten, Konfigurationsänderungen, neue Benutzer, DNS- oder NTP-Manipulationen sowie verdächtige ausgehende Verbindungen prüfen. Bei Routern ist auch ein Abgleich der laufenden Konfiguration mit einem bekannten Soll-Zustand sinnvoll.
  5. Geräte notfalls ersetzen oder isolieren: Wenn kein verlässlicher Patch verfügbar ist oder Sie die Internet-Exponierung nicht sicher ausschließen können, ist der Austausch gegen ein gepflegtes Modell oft die sauberste Maßnahme.
  6. Passwörter und Vertrauensstellungen erneuern: Wurden betroffene Geräte administrativ genutzt, sollten Sie nach einer möglichen Kompromittierung Zugangsdaten rotieren und abhängige Systeme prüfen, etwa RADIUS-, DNS-, VPN- oder Monitoring-Zugänge.

Da keine Hersteller-URL vorliegt, fehlen hier direkte offizielle Hinweise zu Updates oder festen Abhilfemaßnahmen von Netcore.

Einschätzung von CyberSecurity-News.de

Die technische Schwere ist hoch, und die Kombination aus Netzwerkangriff, fehlender Anmeldung und veröffentlichter Angriffsinformation ist ein klares Warnsignal. Noch wichtiger als der CVSS-Wert ist hier der Gerätetyp: Router und netznahe Appliances sind attraktive Ziele, weil sie sich für Persistenz, Traffic-Manipulation und Seitwärtsbewegungen eignen.

Die Informationslage bleibt allerdings unvollständig. Es gibt keine erkennbare Stellungnahme des Herstellers, keine verlinkte Update-Information und keine bestätigten Hinweise darauf, ob weitere Firmware-Stände ebenfalls betroffen oder bereits korrigiert sind. Das erschwert die operative Bewertung in Unternehmen erheblich.

Für Leser im DACH-Raum gilt deshalb eine nüchterne Einordnung: Kein Massenrisiko für alle, aber ein ernstes Problem für jede Organisation, die genau diese Netcore-Modelle betreibt. In solchen Fällen reicht Abwarten nicht aus.

Fazit

Wer die betroffenen Netcore-Router einsetzt, sollte sofort prüfen, ob die Verwaltungsoberflächen erreichbar sind, die Geräte isolieren und nach Anzeichen einer Kompromittierung suchen. Ohne belastbare Herstellerinformationen ist ein konservativer Umgang sinnvoll: Exponierung reduzieren, Konfigurationen kontrollieren und bei Zweifel die Hardware ersetzen.

Quellenangabe